A comunicação de vulnerabilidades CRA torna-se obrigatória a partir de 11 de setembro de 2026. A partir dessa data, todos os fabricantes de software que vendem na UE terão de comunicar uma vulnerabilidade explorada ativamente no prazo de 24 horas após terem conhecimento dela. Não são 24 horas úteis. São vinte e quatro horas.
Em 2026, o Cyber Resilience Act (CRA) já não é um prazo futuro — é a realidade operacional para todas as organizações no mercado europeu. Com requisitos de segurança obrigatórios para produtos com elementos digitais, a conformidade passou de uma "opção" para uma licença fundamental para operar. Neste cenário, a segurança reativa é obsoleta; a filosofia "Secure by Design" e a transparência do Open Source emergiram como as defesas mais fortes contra as ameaças modernas.
Quando se trata de segurança de software, o debate entre modelos open-source e proprietários não está centrado em qual afirma ser mais seguro. Está sim na transparência, manutenção e na rapidez com que os problemas são resolvidos.